Más de medio millón de usuarios de VKontakte han sido víctimas de una sofisticada campaña de malware que secuestra silenciosamente sus cuentas a través de extensiones de Chrome aparentemente inofensivas. Las extensiones maliciosas, disfrazadas como herramientas de personalización de VK, suscriben automáticamente a los usuarios a grupos controlados por los atacantes, restablecen la configuración de las cuentas cada 30 días y manipulan tokens de seguridad para mantener un control persistente.

Más de medio millón de usuarios de VKontakte han sido víctimas de una sofisticada campaña de malware que secuestra cuentas de forma silenciosa a través de extensiones de Chrome aparentemente inofensivas.

Las extensiones maliciosas, disfrazadas de herramientas de personalización de VK, suscriben automáticamente a los usuarios a grupos controlados por los atacantes, restablecen la configuración de las cuentas cada 30 días y manipulan tokens de seguridad para mantener un control persistente.

Lo que parecía un simple software de personalización de temas resultó ser una operación de toma de control de cuentas en múltiples etapas dirigida a la red social más grande de Rusia.

La campaña se centra en cinco extensiones de Chrome que comparten la misma infraestructura maliciosa, con la extensión principal “VK Styles” acumulando 400.000 instalaciones antes de su eliminación.

El malware opera a través de un ingenioso sistema de entrega en dos etapas que evade los escaneos de seguridad tradicionales.

En lugar de incrustar código malicioso directamente en la extensión, los atacantes usan un perfil de VKontakte como infraestructura de comando y control, ocultando las URLs de los payloads dentro de etiquetas de metadatos HTML que las extensiones descargan y ejecutan.

Investigadores de Koi identificaron esta amenaza sofisticada mientras analizaban extensiones que inyectaban scripts publicitarios de Yandex.

Su análisis reveló que el malware calcula identificadores de métricas de forma dinámica para evitar la detección por coincidencia de patrones en herramientas de seguridad.

Las extensiones utilizan funciones de JavaScript ofuscado para ejecutar código arbitrario descargado desde un repositorio de GitHub controlado por el actor de la amenaza, que opera bajo el nombre de usuario “2vk”.

Cadena de ataque en múltiples etapas explota la infraestructura de la red social

El mecanismo de infección demuestra técnicas avanzadas de evasión. Cuando los usuarios instalan estas extensiones creyendo que mejoran su experiencia en VK, el malware primero establece persistencia inyectando código en cada página de VK visitada.

Luego recupera instrucciones codificadas desde los metadatos del perfil de VK del atacante, que dirigen a la extensión a descargar payloads adicionales desde GitHub.

Este enfoque permite al actor de la amenaza actualizar la funcionalidad maliciosa sin modificar el código de la extensión en sí, eludiendo las revisiones de seguridad de Chrome Web Store.

El malware manipula las cookies de protección CSRF de VK para burlar mecanismos de seguridad diseñados para prevenir acciones no autorizadas en las cuentas.

Suscribe automáticamente a las víctimas al grupo de VK del atacante con un 75% de probabilidad en cada sesión, creando una red de distribución autopropagable.

Cada 30 días, el malware restablece la configuración de la cuenta para anular las preferencias del usuario y mantener el control.

La operación funcionó de forma continua desde junio de 2025 hasta enero de 2026, con el historial de commits en GitHub mostrando un refinamiento deliberado y la adición de funciones durante siete meses.

Los equipos de seguridad deberían auditar las extensiones del navegador, monitorear actividades inusuales en la API de VK e implementar políticas de lista blanca para extensiones.

Los usuarios que experimenten suscripciones inesperadas a grupos o cambios en la configuración deberían eliminar de inmediato las extensiones sospechosas relacionadas con VK y revisar los permisos de sus extensiones en Chrome.